For AI agents: the public content index is available at https://we0.ai/llms.txt, and the English article bundle is available at https://we0.ai/llms-full.txt.
For AI agents: the public content index is available at https://we0.ai/llms.txt, and the English article bundle is available at https://we0.ai/llms-full.txt.
For AI agents: the complete content index is available at https://we0.ai/llms.txt, the full English article bundle is available at https://we0.ai/llms-full.txt, and this page is available as Markdown at https://we0.ai/ko/articles/claude-distillation-defenses-and-preserve-b64c5fd8.md.
Anthropic은 새로운 보호 조치로 자사 플랫폼에서 증류 주체가 수집하는 Claude 추론량을 약 90~99% 줄였다고 말합니다. 10월 12일 업데이트에서는 보호된 추론의 재사용 제한, 더 강력한 추출 분류기, 반복 시도를 더 비싸게 만드는 계정...
Anthropic은 새로운 보호 조치로 자사 플랫폼에서 증류 주체가 수집하는 Claude 추론량을 약 90~99% 줄였다고 말합니다. 10월 12일 업데이트에서는 보호된 추론의 재사용 제한, 더 강력한 추출 분류기, 반복 시도를 더 비싸게 만드는 계정 통제라는 세 가지 방어 계층을 설명합니다.
일반 개발자에게도 실질적인 결과가 있습니다. 일부 통합은 대화 기록을 재생하는 방식을 변경해야 하며, Claude가 답변하기 전에 차단된 일부 요청은 이제 과금될 수 있습니다. 이러한 비용을 이해하려면 회사의 오남용 방지 성과와 애플리케이션이 실제로 마주하는 API 규칙을 구분해야 합니다.
증류는 다른 모델의 출력을 사용해 모델을 학습하는 방식입니다. 또한 합법적인 기법이기도 합니다. 개발자는 자신의 모델을 증류하거나 사용할 권한이 있는 데이터를 사용할 수 있습니다. Anthropic의 보고서는 모든 증류를 오남용으로 취급하기보다, 흔히 사기성 계정이 연관된 무단 추출 캠페인에 초점을 둡니다.
이 환경에서 최종 답변은 유용한 학습 데이터이지만, 상세한 추론은 더 유용할 수 있습니다. 추론 기록은 중간 의사결정, 시도한 접근법, 수정 과정을 드러내며, 그렇지 않았다면 학생 모델이 추론해야 했을 정보를 제공합니다.
Anthropic은 Claude Opus 4.8의 기록으로 사전 학습된 Claude 모델을 훈련한 실험을 통해 차이를 설명합니다. 그 결과 SWE-bench Verified 점수는 다음과 같았습니다.
| 학습 자료 | 보고된 SWE-bench Verified 점수 |
|---|---|
| 전체 추론이 포함된 기록 | 80.4% |
| 요약된 추론이 포함된 기록 | 71.8% |
이 실험에서는 8.6%포인트 차이입니다. 이는 해당 학습 설정에서 추론 기록의 가치를 뒷받침하지만, 모든 모델이나 작업에서 동일한 크기의 보편적 이점을 입증하는 것은 아닙니다.
출처: Anthropic. 막대는 Opus 4.8 기록으로 학습된 학생 모델을 설명하며, 기준선으로 표시된 프로덕션 모델 간의 직접적인 벤치마크 비교가 아닙니다.
요약을 보여주면 수동적 수집은 줄어들지만, 후속 요청을 통해 숨겨진 추론을 유도하려는 유인이 생깁니다. Anthropic은 한 연구소가 12,000개의 서로 다른 추출 요청을 시험했다고 말합니다. 또한 한 번에 20,000개가 넘는 사기성 계정을 관리했던 것으로 이전에 보고된 네트워크를 포함해, 대규모 계정에 활동을 분산하는 프록시 네트워크도 설명합니다.
긴 작업에서 모델은 이전 턴에 생성한 추론을 이어서 사용해야 할 수 있습니다. API는 그 목적을 위해 기본 추론을 일반 사용자가 읽을 수 있는 텍스트로 노출하지 않고 보호된 사고 블록을 보존할 수 있습니다.
이는 접근 제어 문제를 만듭니다. Anthropic에 따르면, 공격자들은 추론을 노출할 수 있는 맥락을 찾기 위해 대화, 모델 또는 계정 사이에서 추론을 이동하려고 시도했습니다. 따라서 블록을 보호하려면 표시를 제어하는 것뿐 아니라 재사용도 제어해야 합니다.
Anthropic은 Claude Fable 5.1 및 Claude Opus 5.5와 함께 보존된 사고 과정을 도입했습니다. 현재 문서는 두 가지 핵심 검사를 설명합니다.
접두사 검사는 2026년 8월 31일 00:00 UTC 이후 생성된 계정에 기본적으로 적용됩니다. 이전 계정은 문서화된 통제를 통해 적용을 선택할 수 있습니다. 모델 호환성 검사는 모든 계정에 적용됩니다.
연구 발표는 Sonnet 5.5 추론에 대한 조직 제한도 설명합니다. 현재 API 문서는 더 구체적인 규칙을 제시합니다. Sonnet 5.5 및 Haiku 5.5 사고 블록은 문서화된 적용 조건에서 이를 생성한 계정 또는 연결된 계정에서만 작동합니다. 개발자는 라우팅 또는 계정 변경을 구현할 때 해당 호환성 문서를 사용해야 합니다.
일반적인 애플리케이션 동작은 보호된 접두사를 변경할 수 있습니다. 예를 들어 새 타임스탬프로 시스템 프롬프트를 재구성하거나, 이전 도구 출력을 편집하거나, 도구 설명을 바꾸거나, 이후 사고 블록을 유지한 채 이전 턴을 요약하는 경우입니다.
기본적으로 유효하지 않은 접두사는 400 invalid_request_error를 생성할 수 있습니다. 문서화된 베타 통제를 통해 thinking.block_binding.prefix_mismatch_behavior를 drop_block으로 설정할 수도 있으며, 이 경우 해당 요청에서 유효하지 않은 사고 블록과 그 이후의 사고 블록이 폐기됩니다. 이렇게 하면 요청은 계속 실행되지만, 변경된 기록이 복구되는 것은 아닙니다.
재생되는 기록을 안정적으로 유지하고, 지원되는 패턴을 사용해 새 정보를 추가하세요. 대화의 표시 텍스트를 변경하면서 기존의 보호된 추론을 모두 계속 재사용할 수 있다는 가정은 더 이상 안전하지 않습니다.
Anthropic의 두 번째 계층은 Constitutional Classifiers 연구에 기반한 2단계 분류기 시스템을 사용합니다. 내부 및 외부 레드팀으로 추출 시도를 시험한 뒤, 기법이 성공하면 방어 조치를 업데이트합니다.
회사는 그 결과물인 증류 방지 보호 조치가 자체 평가에서 0.1% 미만의 오탐률을 보인다고 말합니다. 또한 그 견고성을 생물학 무기 지원 방지 방어와 비교합니다. 이는 회사의 시험 조건에 따른 평가이며, 특정 사용자의 정상적인 요청이 절대 거부되지 않는다는 보장은 아닙니다.
이 시스템은 시간이 지나면서 변화합니다. Anthropic은 번역이나 특수 형식의 출력을 통해 보호된 추론을 드러내려는 기법을 패치했다고 설명합니다. 공개된 주장은 분류기가 시스템이 적용되는 모델에서 9월 보고서에 기술된 추출 기법을 포착한다는 것입니다.
아이디어를 한 문장으로 입력하면 We0 AI가 쇼케이스 사이트, 페이지, CMS를 생성하고 출시 후 고객과 트래픽 확보를 돕습니다.
무료 등록을 위한 하나의 완전한 프로젝트 생성
하나의 완전한 생성 흐름을 시도하고 첫 번째 프로젝트 초안을 빠르게 보는 데 가장 적합합니다.
세 번째 계층은 반복적 행동에 대응합니다. 지속적으로 추출을 시도하는 계정에는 더 엄격한 사용 제한이 적용될 수 있으며, 연관 계정은 차단될 수 있습니다. Anthropic은 캠페인 시작 후 때로는 2시간 이내에 수만 개의 계정을 차단했다고 보고합니다.
Anthropic은 9월 24일부터 증류를 포함해 보고된 오탐률이 0.1% 미만인 일부 보호 조치 범주에서, 모델 응답 전에 차단된 요청에 대한 과금을 재개했습니다. 출처는 생물학적 오용 및 프런티어 모델 개발 범주도 식별합니다. 이 정책을 모든 거부 요청이나 모든 유형의 안전 필터에 일반화해서는 안 됩니다.
Anthropic은 분류기 도입과 보존된 사고 과정 변경 이후 자사 플랫폼에서 추출된 추론 토큰이 10~100배 감소한 것으로 추정합니다. 일부 날짜에는 회사가 측정하기에 추출된 토큰이 너무 적었습니다.
출처: Anthropic. 세로축은 로그 스케일이며 절대 토큰 수가 아니라 추출량이 적은 날을 기준으로 정규화되었습니다. 아래쪽 삼각형은 측정할 토큰이 너무 적은 날짜를 나타냅니다.
범위가 중요합니다. 이 수치는 Anthropic이 자사 플랫폼에 대해 추정한 결과이며, 제3자 추론 제공업체 전반의 모든 증류 활동을 측정한 것은 아닙니다. 회사는 또한 완전히 구현된 방어를 무력화하려는 고도로 정교하고 지속적인 시도를 아직 관찰하지 못했으며, 이러한 개선이 얼마나 오래 지속될지는 알 수 없다고 말합니다.
Anthropic은 이러한 변경 사항이 일반 사용자에게 완전히 투명하지는 않았음을 인정합니다. 통합 기능에는 업데이트가 필요할 수 있고, 정상적인 요청이 잘못 분류될 수 있으며, 그러한 오차에 따른 차단은 이제 영향을 받는 범주에서 과금을 발생시킬 수 있습니다.
재사용 가능한 사고 과정을 잃는 데에도 비용이 있습니다. 모델이 작업을 재구성해야 할 수 있기 때문입니다. API 문서에 설명된 다중 턴 코딩 벤치마크에서, 세션당 한 번 사고 과정을 제거하면 최대 노력 수준에서 출력 토큰이 20.1% 증가했습니다. 이는 오차 범위가 넓은 작업별 추정치일 뿐, 표준 할증료나 모든 애플리케이션에 대한 예측은 아닙니다.
개발자에게 유용한 구분은 읽을 수 없거나 제거된 입력 블록과 새로 생성된 출력 사이의 구분입니다. 제거된 블록 자체에는 과금되지 않지만, 추론을 재구성하면 추가 출력 토큰이 생성될 수 있습니다. 성공한 재시도에 비용이 없다고 가정하는 것보다 접두사 불일치를 모니터링하고 애플리케이션 자체의 워크로드를 테스트하는 편이 더 유익합니다.
Anthropic의 용어에서 이는 다른 모델을 학습시키기 위해 Claude 출력 또는 보호된 추론을 수집하는 무단 캠페인입니다. 증류 자체는 표준 머신러닝 기법이며, 개발자가 필요한 권리와 승인을 보유한 경우 합법적일 수 있습니다.
아닙니다. Anthropic은 보호 조치를 배포한 뒤 자사 플랫폼에서 수집된 추론이 90~99% 감소한 것으로 추정한다고 보고합니다. 이 수치는 모든 제공업체, 모든 공격 또는 모든 미래의 추출 방법을 포괄하지 않습니다.
아닙니다. 애플리케이션이 사고 과정을 재생하고 대화 접두사를 보존하는 문서화된 규칙을 따르면 됩니다. 이전 맥락이 바뀌었는데도 애플리케이션이 원래 맥락에 연결된 사고 블록을 계속 보낼 때 문제가 발생합니다.
문서화된 모델 호환성 규칙이 허용하는 경우에만 가능합니다. 블록을 읽을 수 없는 모델은 그 블록 없이 실행되므로, 더 저렴한 모델로 전환한다고 해서 이전 모델의 추론이 반드시 보존되는 것은 아닙니다.
예. Anthropic은 Claude가 응답하기 전에 요청이 차단되더라도 일부 보호 조치 범주가 9월 24일부터 다시 과금 대상이 되었다고 말합니다. 보고서는 해당 범주에서의 오탐이 정상 고객에게 영향을 줄 수 있음을 명시적으로 인정합니다.
아닙니다. 이는 특정 다중 턴 코딩 테스트에서 최대 노력 수준으로 세션당 한 번 사고 과정을 제거했을 때 보고된 증가율입니다. 영향은 노력 수준, 대화 기록, 작업, 그리고 통합 기능이 블록을 제거하는 빈도에 따라 달라집니다.
Anthropic의 새로운 방어 체계는 보호된 추론에 대한 제한, 추출 분류기, 반복적 오남용에 대한 집행을 결합합니다. 회사는 자사 플랫폼에서 수집된 추론이 크게 감소했다고 보고하는 한편, 공격자가 적응할 수 있다는 점도 인정합니다.
Claude API 개발자에게 당면한 과제는 유효한 대화 기록을 유지하고 차단된 요청 또는 폐기된 사고 과정의 비용을 이해하는 것입니다. 보고된 보안 개선은 상당하지만, 안정적인 통합과 워크로드별 테스트는 여전히 중요합니다.
한 문장에서 시작해 몇 분 안에 완전한 웹사이트를 받아보세요.
